Veb Saytların Zəifliklərinin Yoxlanılması Siyahısı (Ümumi hallarda)
13rose
3 min read
Salam hər vaxtınız xeyir dəyərli oxucular, bu gün Veb tətbiqlərin test edilməsi üzrə əlimizdə olan vasitələri daha da dərinləşdirmək məqsədi ilə proqram təminatını tanıyacayıq.Bu paylaşımda isə veb zəifliklərin tapılması ardıcılığı eləcə də mütləq yoxlanılması lazım olan yerlərin siyahısı ilə tanış olacayıq.
Telegram kanalına qoşularaq bu və digər mövzular üzrə quizlərdə iştirak edə bilərsiniz!
Telegram (Kanal): https://t.me/xakeraz_official
Veb Saytların Zəifliklərinin Mexaniki Üsulla Yoxlanılması
Siz veb saytların zəifliklərin mexaniki üsulla yoxlanılması zamanı bəzi səhifələrdə məsələn qeydiyyat səhifələrində eyni sorğuların bir neçə dəfə göndərilməsi ilə qarşılaşa bilərik.Həmin səhifələr adi səhifələrdən fərqli olraq daha güclü təhlükəsizlik tədbirləri ilə qorunurlar.Məhz buna görə biz siyahını iki növə bölə bilərik: 1. Ümumi hallarda yoxlanılma üsulları 2.Xüsusi hallarda yoxlanılması üsulları.
Ümumi Hallarda Yoxlanılma Siyahısı
Biz bu siyahı üzrə istənilən səhifə və sayt üzərində yoxlanılma işlərini yerinə yetirə bilərik.
- Bütün gedən veb sorğularını ələ keçirib,Proxy tabından Repeater tabına yoxlanılması üçün göndərmək.
- Hədəf serverə daxil olma nöqtələrini təyin edin.
- URL
- Header başlıqlarına baxın.
- İnput hissələrinə (İstifadəçinin məlumat daxil edə bildiyi yerlər) xüsusi simvollar tətbiq etmək həmin səhifələrin veb zəifliklərinin olub-olmamasını təyin edin.Burp Suite alətinin Repeater və İntruder tabının köməyi ilə hədəf saytın davranışını müşahidə edə bilərik.
- SQLİ üçün : tək və cüt dırnaqdan istifadə,İntruder hissəsində SQLİ payloadlarından istifadə
- XSS üçün: “<script>” teqindən istifadə etmək,İntruder hissəsində XSS payloadlarından istifadə
- Veb saytın və ya veb səhifənin davranışın müşahidə edin. (Məsələn: online alışveriş hissəsinə 0 vəya mənfi ədədlər yazaraq yoxlayın)
- Burp Target/ Site map istifadə edərək aşağıdakıları təyin edin.
- Gizli faylların tapmağa çalışın( Məsələn: Robots.txt ,rezerv kopya olan fayllar,PDF faylları, admin paneli və s.)
- Veb-APİ
- CMS platforması (Məsələn:Wordpress)
- İstifadə olunmayan səhifələr və URL adresləri
- Veb saytın HTML məntiqini dərk etmək və Javascript/HTML bazasının hər hansı əksiyinin olmasını yoxlamaq.
- Aşağı səlahiyyətli istifadəçi hesabı ilə Administrator səlahiyyətli resursların və mənbələrin daxil olmağa çalışın.
- Digər istifadəçinin məlumatlarını,resurslarını və mənbələrini daxil olmağa,çağırmağa çalışın.
- Şifrələnmiş və qorunan məlumatlarını heç bir autentifikasiya olmadan əldə etməyə çalışın.
- Burp Suite İntruder tabının köməyi ilə istənilən daxil edilmə parametrini Fuzzing əməliyyatını yerinə yetirin. (Məsələn: UİD)
Ümidvaram faydalı olmuşdur.Təşəkkürlər!
Bizi izləyin:
Telegram (Kanal): https://t.me/xakeraz_official
Paylaşımların səliqəli yığılmış halı: https://t.me/xakerazgroup
Fikir və şərhləriniz : https://t.me/xakerazchat
